Kritične ranljivosti WhatsUp Gold so morda tlakovale pot napadom izsiljevalske programske opreme

V zadnjih mesecih se je WhatsUp Gold proizvajalca Progress Software – široko uporabljano orodje za spremljanje IT infrastrukture – znašlo v središču varnostne nevihte. Dve kritični ranljivosti, CVE-2024-6670 in CVE-2024-6671, sta sprožili alarm v skupnosti kibernetske varnosti, zlasti zaradi njunega možnega izkoriščanja v napadih z izsiljevalsko programsko opremo . Medtem ko se celoten vpliv teh ranljivosti še preiskuje, je možna povezava z oddaljenim izvajanjem kode in incidenti z izsiljevalsko programsko opremo sprožila hiter odziv tako varnostnih podjetij kot organizacij, ki se zanašajo na programsko opremo.

Ranljivosti, izkoriščene kljub popravkom

16. avgusta 2024 je Progress Software svoje uporabnike opozoril na tri ranljivosti v WhatsUp Gold, priljubljenem orodju za upravljanje omrežij IT. Med temi sta bili še posebej zaskrbljujoči dve ranljivosti vbrizgavanja SQL, ki sta neavtentificiranim napadalcem omogočili dostop do šifriranih gesel. Tem napakam so bile dodeljene ocene kritične resnosti, ki odražajo veliko tveganje, ki ga predstavljajo za organizacije.

Ranljivosti so bile hitro zakrpane, a kot se pogosto zgodi v svetu kibernetske varnosti, je čas pomemben. Čeprav so bili popravki na voljo, jih nekatere organizacije niso mogle pravočasno uporabiti. Samo dva tedna kasneje, 30. avgusta, je raziskovalec iz skupine Summoning Team javno razkril tehnične podrobnosti in izkoriščanje dokazov o konceptu (PoC) za te ranljivosti. Isti dan je Trend Micro poročal o napadih z izvajanjem kode na daljavo, ki ciljajo na primerke WhatsUp Gold, kar kaže, da je PoC morda pospešil poskuse izkoriščanja napak.

Ransomware ali orodja za oddaljeni dostop?

Čeprav Trend Micro teh napadov še ni dokončno povezal z določenim akterjem grožnje, je uporaba več orodij za oddaljeni dostop (RAT) v incidentih vzbudila sum, da bi lahko za izkoriščanjem stala skupina izsiljevalskih programov. Natančna skupina ostaja neznana, vendar je uporaba RAT pogosta predhodnica bolj uničujočih napadov, kot je uvedba izsiljevalske programske opreme, ki je v zadnjih letih postala vse preveč pogosta.

Zanimivo je, da medtem ko je ameriška agencija za kibernetsko varnost in varnost infrastrukture (CISA) hitro dodala CVE-2024-6670 v svoj katalog znanih izkoriščenih ranljivosti (KEV), agencija ni potrdila, ali je bila ranljivost aktivno uporabljena v kampanjah z izsiljevalsko programsko opremo. CVE-2024-6671, še ena kritična napaka, še ni bila vključena na ta seznam, zaradi česar nekatera vprašanja o obsegu izkoriščanja ostajajo neodgovorjena.

Širša globalna izpostavljenost

Še posebej zaskrbljujoč je globalni doseg WhatsUp Gold. Na stotine primerkov programske opreme je izpostavljenih internetu, z najvišjo koncentracijo v Braziliji, Indiji, na Tajskem in v Združenih državah. Ta široka porazdelitev pomeni, da bi se lahko vpliv kakršnega koli uspešnega izkoriščanja razširil na širok nabor panog in držav.

Dodatek k zapletenosti je program Progress Software, ki je pred kratkim popravil še eno ranljivost v WhatsUp Gold, označeno kot CVE-2024-4885. Ta napaka, čeprav dovolj resna, da bi lahko povzročila popolno ogrožanje sistema, še ni bila izkoriščena v divjini in ponuja kanček olajšanja sredi nenehnega kaosa ranljivosti.

Naprej in kako zaščititi svoje sisteme

Ker so ranljivosti v WhatsUp Gold na naslovnicah, je vprašanje za mnoge organizacije jasno: Kako se lahko zaščitimo? Predvsem bi morale organizacije, ki uporabljajo WhatsUp Gold, takoj uporabiti najnovejše popravke, ki jih ponuja Progress Software. To bo ublažilo tveganja, ki jih predstavljata CVE-2024-6670 in CVE-2024-6671, ter pomagalo zagotoviti, da napadalci ne morejo izkoristiti teh kritičnih napak.

Poleg tega bi morale varnostne ekipe poiskati potencialne indikatorje ogroženosti (IOC), ki so zdaj dodani v svetovanje Progress Software. Spremljanje neobičajne dejavnosti, zlasti uporaba orodij za oddaljeni dostop (RAT), lahko pomaga odkriti napad, preden preraste v situacijo z izsiljevalsko programsko opremo.

Nazadnje bi morale organizacije razmisliti o uvedbi segmentacije omrežja in zanesljivih strategij varnostnega kopiranja. V primeru, da se izsiljevalska programska oprema vendarle prebije v sistem, lahko dobro segmentirano omrežje omeji njeno širjenje, zanesljive varnostne kopije pa lahko zagotovijo obnovitev kritičnih podatkov brez plačila odkupnine.

Pazljivost je ključna

Odkritje teh ranljivosti ponovno poudarja pomen hitrega popravka in proaktivnih ukrepov kibernetske varnosti. Časovnica dogodkov, od popravkov do javnega PoC, poudarja, kako hitro se lahko napadalci premaknejo, ko so razkrite nove ranljivosti. Čeprav ostaja nejasno, ali so te napake neposredno prispevale k napadom izsiljevalske programske opreme, je možno tveganje neizpodbitno.

Če ostanejo pozorni, uporabljajo popravke in spremljajo sumljive dejavnosti, se lahko organizacije bolje zaščitijo pred grožnjami, kot jih predstavljata CVE-2024-6670 in CVE-2024-6671. Izsiljevalska programska oprema se še naprej razvija in izkoriščanje kritičnih ranljivosti, kot je ta, bi lahko postalo ključno orodje v rokah kibernetskih kriminalcev. Bodite pred vsemi – popravljajte zgodaj, popravljajte pogosto in bodite pozorni.